In der inzwischen an den Start gegangenen Online-Plattform EMPOWER-TRANS* gab es einige Startschwierigkeiten, insbesondere bei der Sicherheit. Diese fielen auf, nachdem ein G DATA Spezialisten-Team den Auftrag erhalten hat, einen Penetrationstest der Webanwendung durchzuführen. Schnell wurde klar, dass Nachbesserungsbedarf bestand.
Freie Bahn dank ungeschütztem Administrator-Bereich
Am gravierendsten war die Tatsache, dass jeder, der über einen Zugang verfügt und die passende Webadresse kannte, sich Zugriff auf alle Funktionen der Plattform verschaffen konnte. So genügte es zum Beispiel, an die Web-Adresse ein „/admin/role-management“ anhängen, um Zugriff auf das Administrator-Panel der Anwendung zu erhalten. Wer das weiß, kann sich selbst unbemerkt und ungehindert zum Administrator machen und auch Einsicht in sämtliche Daten nehmen – von Patientennamen über Historien bis hin zu eingesandten Dokumenten, wie etwa medizinische Fragebögen.
Auch die gezielte Suche nach Patienten war auf diese Weise möglich. Und all das, ohne sich an irgendeinem Punkt legitimieren zu müssen - nur mit einem einfachen User-Account ohne besondere Rechte. Unter Datenschutz- und Sicherheitsgesichtspunkten ein katastrophaler Fehler, weshalb dies auch die als am kritischsten bewertete Sicherheitslücke ist.
Weitere Lücken
Insgesamt existierten 15 Sicherheitslücken, von denen insgesamt für fünf aufgrund ihrer Kritikalität auch eine CVE-Nummer beantragt wurde. So erlaubte die Webseite auch die Umgehung der Zweifaktor-Authentifizierung (2FA): Die Web-Anwendung hat einen gültigen Session-Cookie schon ausgeliefert, bevor der eingegebene 2FA-Code überhaupt geprüft war. So war ein Zugriff auch ohne einen gültigen 2FA-Code möglich.
Vertrauensbildung durch Pentests
Tests wie diese machen deutlich, dass Sicherheit nicht nur im Gesundheitswesen, sondern in allen Bereichen, in denen es um sensible Daten geht, nicht hoch genug priorisiert werden kann. Die gefundenen Sicherheitslücken sind inzwischen geschlossen. Denn wenn vertrauliche Daten einmal in die falschen Hände geraten sind, ist das nicht mehr rückgängig zu machen. In diesem Fall fand ein Test der Sicherheitsmaßnahmen vor der Veröffentlichung statt, mit Testdaten und ohne echte Patientendaten. Die Folgeschäden wären im Ernstfall kaum abzuschätzen. Daher ist überall dort, wo persönliche Daten verarbeitet werden, ein unabhängiger und objektiver Blick auf die Sicherheit unverzichtbar.
Nur so gelingt es uns langfristig, Vertrauen in digitale Lösungen zu schaffen.
Den vollständigen Bericht sowie eine genaue technische Analyse finden Sie im cyber.wtf – Blog (Artikel in englischer Sprache).
